Unsupervised Cross-Protocol Anomaly Analysis in Mobile Core Networks via Multi-Embedding Models Consensus

Resumen Técnico: Análisis de Anomalías Cross-Protocolo No Supervisado en Redes de Núcleo Móvil

Planteamiento del Problema
Las redes de núcleo móvil operan múltiples protocolos de señalización (SS7, Diameter y GTP) en paralelo. Muchos problemas relevantes para la seguridad, como las inconsistencias de identidad, las indicaciones falsas de roaming y el direccionamiento erróneo, solo se vuelven visibles cuando estos protocolos se analizan conjuntamente para un mismo suscriptor y ventana de tiempo. Sin embargo, la detección de estas anomalías cross-protocolo es un desafío debido a que:

1. Escasez de Datos: Los ejemplos etiquetados de ataques reales y de configuraciones erróneas cross-protocolo son raramente disponibles en entornos operativos, lo que dificulta el despliegue de métodos de aprendizaje supervisado.
2. Limitaciones de los Enfoques Existentes: El monitoreo basado en reglas depende de firmas creadas por expertos que a menudo pasan por alto problemas coordinados o novedosos de múltiples pasos. Además, los enfoques previos de aprendizaje de representaciones y no supervisados suelen limitarse a protocolos individuales, ignorando las dependencias causales a través de los planos de control y de usuario.

Metodología
Los autores proponen un marco de trabajo no supervisado que fusiona datos de señalización y aprovecha un consenso de modelos de multi-embedding para detectar inconsistencias sin necesidad de etiquetas humanas. La metodología consta de cuatro etapas principales:

1. Fusión por Suscriptor y por Minuto:
   El sistema agrega registros decodificados de SS7, Diameter y GTP para cada suscriptor dentro de una ventana de un minuto. Estos mensajes se agrupan en un único "registro fusionado" que contiene campos JSON sin procesar de los tres protocolos. Solo se retienen para el análisis aquellas ventanas que contienen mensajes de al menos dos familias de protocolos.

2. Construcción de Anomalías Sintéticas (Verdad de Terreno de Evaluación):
   Para evaluar el sistema sin etiquetas manuales, los autores generan anomalías sintéticas "cross-protocolo-plausibles". Esto se logra intercambiando grupos de campos específicos entre pares de registros fusionados. Los intercambios están diseñados para mantener la validez sintáctica de los mensajes de cada protocolo individualmente, mientras crean contradicciones en la vista conjunta. Se definieron trece familias de mutación, que cubren campos críticos como:

   • SS7: Global Titles de emisor y receptor (CGGT/CDDT), Códigos de Punto (OPC/DPC) y Contexto de Aplicación.
   • Diameter: User-Name, Session-Id, Origin-Host, Visited-PLMN-Id y APN Service-Selection.
   • GTP: TEIDs, APN, Información de Ubicación de Usuario y Direcciones IP de PDN.

3. Serialización de Texto y Embedding:
   Cada registro fusionado se serializa en una cadena JSON de una sola línea y normalizada. Estas cadenas se pasan a seis modelos de embedding pre-entrenados diferentes (incluyendo variantes de bge-m3, jina-embeddings-v2, nomic-embed-text y snowflake-arctic-embed). Los modelos generan representaciones vectoriales para los registros que se ajustan a sus ventanas de contexto específicas sin truncamiento.

4. Detección No Supervisada y Puntuación de Consenso:
   Para cada modelo de embedding, se entrena un detector no supervisado (Isolation Forest) sobre el tráfico de fondo (con una pequeña inyección del 5% de anomalías sintéticas para dar forma al paisaje de densidad, pero sin utilizar etiquetas para el ajuste). El detector asigna una decisión binaria (anómalo o benigno) a cada registro.
   Se calcula una Puntuación de Consenso ($S$) para cada registro, la cual representa el número de modelos (de un total de seis) que marcan el registro como anómalo. Esta puntuación sirve como mecanismo de clasificación para priorizar candidatos para inspección.

Contribuciones Clave

1. Pipeline de Fusión: Un método para agregar registros de SS7, Diameter y GTP por suscriptor y minuto preservando los campos brutos necesarios para las verificaciones de consistencia cross-protocolo.
2. Generador de Anomalías Sintéticas: Un enfoque basado en mutaciones para crear inconsistencias protocolarmente plausibles para la evaluación, evitando la necesidad de etiquetado manual de ataques reales.
3. Ensamble No Supervisado: Un sistema de clasificación basado en consenso que combina múltiples modelos de embedding y detectores por modelo para identificar anomalías.
4. Marco de Evaluación: Un método que vincula los niveles de consenso con la precisión en anomalías sintéticas y analiza la separación de los registros en el espacio de embedding.

Resultados
La evaluación se realizó sobre un corpus de 219,294 registros fusionados (8,122 registros de fondo originales y 211,172 anomalías sintéticas).

• Distribución de Consenso: En el umbral más bajo ($S \ge 1$), el 44.15% de los registros fueron marcados por al menos un modelo. A medida que el requisito de consenso aumentaba, la fracción de registros marcados caía drásticamente. Con el acuerdo total ($S \ge 6$), solo el 0.97% de los registros fueron marcados.
• Precisión y Separación:
  • Para los umbrales $k = 1$ a $4$, los registros marcados como anómalos tenían cientos de veces más probabilidades de ser sintéticos que originales (Ratios de Probabilidad [Odds Ratios] entre 236 y 572).
  • Para los umbrales $k \ge 5$, cero registros originales (de fondo) fueron marcados. Todos los registros marcados en estos niveles eran sintéticos, lo que indica una separación perfecta entre las anomalías sintéticas y el tráfico de fondo en la configuración probada.
  • Las pruebas estadísticas (prueba exacta de Fisher y Chi-cuadrado) arrojaron valores p extremadamente pequeños ($< 10^{-35}$), confirmando la fuerte asociación entre un alto consenso y las anomalías sintéticas.
• Análisis del Espacio de Embedding: Las mediciones de distancia de coseno entre los registros sintéticos y sus contrapartes originales mostraron que las distancias aumentaban con el nivel de consenso. Esto sugiere que los registros con mayor acuerdo entre modelos están más claramente separados del tráfico normal en el espacio de embedding.

Significancia y Reivindicaciones
El artículo afirma que el consenso de múltiples modelos de embedding es un mecanismo efectivo para priorizar un conjunto de candidatos mucho más pequeño de inconsistencias cross-protocolo para su posterior inspección. Al aumentar el umbral de consenso, los operadores pueden reducir significamente el volumen de registros que requieren revisión manual, manteniendo una alta probabilidad de que los candidatos restantes representen contradicciones cross-protocolo genuinas.

Los autores enfatizan que sus hallazgos son específicos del diseño de la anomalía sintética y del ensamble de modelos seleccionado. No afirman que el sistema detecte todos los ataques del mundo real, señalando que los incidentes reales podrían involucrar múltiples cambios coordinados o escalas de tiempo más largas que no se capturan en los intercambios de un solo campo. Sin embargo, los resultados respaldan la utilidad del aprendizaje de representaciones conjuntas y no supervisadas para identificar inconsistencias estructuradas que son invisibles en las vistas de un solo protocolo.